<div dir="ltr">I will post that on Wednesday when I get back to work. Its 6? ethtool statements, and 2 ixgbe patches (for rhel7 at least). Anything else should be just 1 patch. This is running the 4.4.6 ixgbe released from intel directly. This has worked for the most recent 3 kernels under RHEL7.</div><div class="gmail_extra"><br><div class="gmail_quote">On Sat, Dec 24, 2016 at 12:51 PM, Peter Manev <span dir="ltr"><<a href="mailto:petermanev@gmail.com" target="_blank">petermanev@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class=""><br>
<br>
> On 24 Dec 2016, at 18:22, erik clark <<a href="mailto:philosnef@gmail.com">philosnef@gmail.com</a>> wrote:<br>
><br>
> I have seen several places commenting that you should set the RSS queue to 1. However, when examining af_packet with Bro, a patch released from Redhat for the ixgbe kernel module, and some ethtool tweaking, we have found that (for Bro at least) running a full 63 (we have 54 cores) RSS queues vastly improves performance, and keeps state intact across sessions.<br>
><br>
> Based on this update, which fixes the broken implementation of setting a symmetric hash in the hardware of the card<br>
<br>
</span>Can you please share a bit in a bit more detail-<br>
Which ixgbe/kernel version that is ?<br>
Which patch is it ?<br>
What is the ethtool tweaking procedure?<br>
<br>
Thanks<br>
<span class=""><br>
> (again ixgbe, not tested with i40e), is it still necessary to run one queue? If so, you can't run Bro and Suri on the same box with af_packet and get equivalent performance out of both tools. Having run Suri with 63 queues for a week now, it seems performance is considerably better than with pf_ring, and I can not find any unusual behavior in my alerts...<br>
><br>
</span>> ______________________________<wbr>_________________<br>
> Suricata IDS Users mailing list: <a href="mailto:oisf-users@openinfosecfoundation.org">oisf-users@<wbr>openinfosecfoundation.org</a><br>
> Site: <a href="http://suricata-ids.org" rel="noreferrer" target="_blank">http://suricata-ids.org</a> | Support: <a href="http://suricata-ids.org/support/" rel="noreferrer" target="_blank">http://suricata-ids.org/<wbr>support/</a><br>
> List: <a href="https://lists.openinfosecfoundation.org/mailman/listinfo/oisf-users" rel="noreferrer" target="_blank">https://lists.<wbr>openinfosecfoundation.org/<wbr>mailman/listinfo/oisf-users</a><br>
</blockquote></div><br></div>